Gesamt-Schlussbericht des Verbundprojektes Deutsch - CC Gmbh

1 Kurze Darstellung
1.1 Aufgabenstellung
Ziel des Vorhabens war die Entwicklung und Erprobung eines Werkzeug-Frameworks samt
sprachspezifischer Module zur Sicherheitsanalyse von Programm-Quelltexten in
verschiedenen Programmiersprachen. Das Werkzeug dient der Ermittlung von Daten- und
Kontrollflüssen, auf denen böswillige Eingabe- und Umgebungsdaten ungeprüft sicherheitskritische
Operationen des Zielprogramms beeinflussen können. Solche Datenflüsse sind ein
maßgeblicher Ansatzpunkt für Angriffe auf Software. Das Prüfwerkzeug liefert deshalb einen
wesentlichen Sicherheitsgewinn für sicherheitskritische Software-Systeme.
1.2 Voraussetzungen, unter denen das Vorhaben durchgeführt wurde
Seit 2003 unterstützt das Bundesministerium für Bildung und Forschung (BMBF) mit der
Forschungsoffensive "Software Engineering 2006" Forschungsvorhaben zur Stärkung der
Softwaretechnik in Deutschland. Das Projekt SecFlow ("Security Flow") "Automatische
Ermittlung sicherheitskritischer Datenflüsse in Quellcode" wurde im Rahmen der zweiten
Auswahlrunde zur Forschungsoffensive 2006 in den Kreis der förderwürdigen Vorhaben
aufgenommen. Innerhalb der Forschungsoffensive "Software Engineering 2006" des BMBF
ist SecFlow dem Themenbereich II – Korrektheit, Sicherheit und Zuverlässigkeit von
Software-Systemen (inkl. Safety) – zugeordnet.
Das Vorhaben wurde im Juni 2006 rückwirkend für den Zeitraum vom 1. März 2006 bis
30. Juni 2008 genehmigt. Die Projektlaufzeit war ursprünglich für eine Dauer von
30 Monaten geplant. Aufgrund der rückwirkenden Genehmigung und dem damit
verbundenen späteren Start des Projektes wurde eine Verlängerung von 3 Monaten
beantragt und genehmigt. Es fand dabei eine kostenneutrale Umwidmung der Mittel statt.
Die Gesamtlaufzeit des Vorhabens betrug insgesamt 33 Monate, vom 1. März 2006 bis
30. November 2008.
SecFlow ist ein Verbundprojekt, an dem insgesamt vier Verbundpartner beteiligt waren:
� Fraunhofer Institut für Experimentelles Software Engineering (IESE), Kaiserslautern:
IESE übernahm im Projekt als Forschungspartner vornehmlich die forschungsintensiven
Anteile im Entwurf des Werkzeugs einschließlich der dazu erforderlichen
Referenzimplementierungen sowie die wissenschaftliche Begleitung der Validierung
des Werkzeugs.
� ICT Solutions AG (ICT), Trier:
ICT war im Projekt als Anwendungspartner vor allem für die praktische Validierung des
Werkzeugs bei der Sicherheitsüberprüfung ihrer kundenspezifischen Installationen
zuständig sowie für die Erarbeitung der plattformspezifischen Konzepte zur Analyse
von J2EE-Software.
� SHE Informationstechnologie AG (SHE), Ludwigshafen:
SHE übernahm im Projekt als zweiter Anwendungspartner vor allem die praktische
Validierung des Werkzeugs im Rahmen ihrer Beratungstätigkeit im Sicherheitsbereich
sowie die Erarbeitung der plattformspezifischen Konzepte für C# und .NET.
� CC GmbH (CC), Wiesbaden:
CC übernahm im Projekt als Technologiepartner vor allem die Implementierung des
Werkzeugs, war aber auch für Beiträge zu seinem Entwurf verantwortlich. Außerdem
leitete CC als Konsortialführer das Vorhaben.
Datei
SecFlow_Gesamtschlussbericht_V10.odt
Version
1.0
Datum
2009-02-02
Bearbeiter/in
Dana Richter
Seite
4 von 27